Terhubung ke VM Linux menggunakan Identity-Aware Proxy

Dokumen ini menjelaskan cara terhubung ke instance mesin virtual (VM) melalui alamat IP internalnya, menggunakan penerusan TCP Identity-Aware Proxy (IAP).

Penerusan TCP IAP memungkinkan Anda membuat tunnel terenkripsi yang dapat digunakan untuk meneruskan koneksi SSH ke VM. Saat Anda terhubung ke VM yang menggunakan IAP, IAP akan menggabungkan koneksi SSH di dalam HTTPS sebelum meneruskan koneksi ke VM. Kemudian, IAP akan memeriksa apakah Anda memiliki izin IAM yang diperlukan, dan jika Anda memilikinya, akan memberikan akses ke VM.

Jika Anda perlu terhubung ke VM yang tidak memiliki alamat IP eksternal dan tidak dapat menggunakan IAP, pelajari metode lain yang tercantum dalam Opsi koneksi untuk VM khusus internal.

Sebelum memulai

  • Buat aturan firewall untuk mengaktifkan koneksi dari IAP.
  • Siapkan autentikasi jika Anda belum melakukannya. Autentikasi memverifikasi identitas Anda untuk mengakses layanan Google Cloud dan API. Untuk menjalankan kode atau contoh dari lingkungan pengembangan lokal, Anda dapat melakukan autentikasi ke Compute Engine dengan memilih salah satu opsi berikut:

    Pilih tab untuk melihat bagaimana Anda berencana menggunakan contoh di halaman ini:

    Konsol

    Saat menggunakan konsol Google Cloud untuk mengakses layanan dan API Google Cloud , Anda tidak perlu menyiapkan autentikasi.

    gcloud

    1. Instal Google Cloud CLI. Setelah penginstalan, lakukan inisialisasi Google Cloud CLI dengan menjalankan perintah berikut: 

      gcloud init

      Jika Anda menggunakan penyedia identitas (IdP) eksternal, Anda harus login ke gcloud CLI dengan identitas gabungan Anda terlebih dahulu.

  • Tetapkan region dan zona default.

Sistem operasi yang didukung

Metode koneksi ini didukung untuk semua image Linux publik yang tersedia di Compute Engine. Untuk image Fedora CoreOS, Anda harus menyiapkan akses SSH sebelum dapat menggunakan metode ini.

Terhubung ke VM

Untuk terhubung ke VM, selesaikan langkah-langkah di salah satu tab berikut.

Konsol

Tunnel koneksi SSH melalui alamat IP internal VM menggunakan SSH-in-Browser dengan melakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman VM instances.

    Buka instance VM

  2. Di daftar instance virtual machine, klik SSH di baris instance yang ingin Anda hubungkan.

gcloud

Tunnel koneksi SSH melalui alamat IP internal VM menggunakan perintah gcloud compute ssh dengan flag --tunnel-through-iap:

    Di konsol Google Cloud , aktifkan Cloud Shell.

    Aktifkan Cloud Shell

    Di bagian bawah konsol Google Cloud , sesi Cloud Shell akan terbuka dan menampilkan prompt command line. Cloud Shell adalah lingkungan shell dengan Google Cloud CLI yang sudah terinstal, dan dengan nilai yang sudah ditetapkan untuk project Anda saat ini. Diperlukan waktu beberapa detik untuk melakukan inisialisasi pada sesi.

  1. Hubungkan ke VM dengan menjalankan perintah berikut:

    gcloud compute ssh INSTANCE_NAME \
    --project=PROJECT_ID \
    --zone=ZONE \
    --tunnel-through-iap

    Ganti kode berikut:

    • INSTANCE_NAME: nama VM yang ingin Anda hubungkan.
    • PROJECT_ID: ID project yang berisi VM.
    • ZONE: nama zona tempat VM berada.

Desktop IAP

Untuk terhubung ke VM menggunakan Desktop IAP, lakukan langkah berikut:

  1. Instal Desktop IAP di workstation Anda jika belum melakukannya.

  2. Buka Desktop IAP. Jendela Tambahkan project akan terbuka.

  3. Saat diminta, login menggunakan akun Google yang memiliki akses ke project dengan VM yang ingin Anda hubungkan.

  4. Di jendela Tambahkan project, masukkan project ID atau nama project yang berisi VM yang ingin Anda hubungkan.

  5. Di jendela Project Explorer, klik kanan nama VM lagi, lalu pilih Connect untuk terhubung ke VM.

Klien OpenSSH

Terhubung ke VM yang tidak memiliki alamat IP eksternal menggunakan SSH melalui tunnel IAP. Anda dapat menulis file konfigurasi SSH (~/.ssh/config) Anda sendiri sehingga alat seperti VS Code atau klien OpenSSH dapat terhubung secara langsung.

  1. Buat dan distribusikan kunci SSH Anda dengan terhubung ke VM setidaknya sekali dengan menjalankan perintah gcloud compute ssh:

    gcloud compute ssh INSTANCE_NAME \
    --project=PROJECT_ID \
    --zone=ZONE \
    --tunnel-through-iap

    Ganti kode berikut:

    • INSTANCE_NAME: nama VM yang ingin Anda hubungkan.
    • PROJECT_ID: ID project yang berisi VM.
    • ZONE: zona tempat VM Anda berada.

    Setelah koneksi berhasil, keluar dari sesi SSH.

  2. Buka atau buat file konfigurasi SSH di workstation lokal Anda. File ini biasanya berada di ~/.ssh/config pada Linux dan macOS, atau %USERPROFILE%\.ssh\config pada Windows.

  3. Tambahkan entri konfigurasi untuk VM Anda dengan menambahkan blok berikut ke file konfigurasi SSH Anda:

    Host INSTANCE_NAME
    HostName INSTANCE_NAME
    IdentityFile PATH_TO_PRIVATE_KEY
    ProxyCommand gcloud compute start-iap-tunnel %h %p --listen-on-stdin --project=PROJECT_ID --zone=ZONE --verbosity=warning
    User USERNAME

    Ganti kode berikut:

    • INSTANCE_NAME: nama VM yang ingin Anda hubungkan.
    • PATH_TO_PRIVATE_KEY: jalur ke file kunci pribadi Anda, biasanya ~/.ssh/google_compute_engine.
    • PROJECT_ID: ID project yang berisi VM.
    • ZONE: zona tempat VM Anda berada.
    • USERNAME: nama pengguna di VM, seperti nama pengguna Login OS Google Cloud atau nama pengguna metadata Anda.

  4. Hubungkan ke VM dari terminal lokal atau klien SSH Anda dengan menjalankan perintah berikut:

    ssh INSTANCE_NAME

Aplikasi PuTTY

Untuk membuat tunnel koneksi SSH melalui alamat IP internal VM menggunakan PuTTY, lakukan hal berikut:

  1. Jika Anda belum menambahkan kunci SSH, tambahkan kunci SSH ke VM.
  2. Jika workstation Anda belum menginstal aplikasi PuTTY, download file paket PuTTY.

  3. Di konsol Google Cloud , buka halaman VM instances dan temukan nama VM yang ingin Anda hubungkan.

    Buka instance VM

  4. Buka aplikasi PuTTY. Jendela konfigurasi koneksi akan terbuka.

  5. Di kolom nama host (atau alamat IP), masukkan nama pengguna yang terkait dengan Kunci SSH dan nama VM yang ingin Anda hubungkan. Gunakan format berikut:

    USERNAME@INSTANCE_NAME

    Ganti kode berikut:

    • USERNAME: nama pengguna Anda. Jika Anda mengelola kunci SSH di metadata, nama pengguna adalah nama yang Anda tetapkan saat membuat kunci SSH. Untuk akun Login OS, nama pengguna ditentukan di profil Google Anda, seperti cloudysanfrancisco_example_com atau cloudysanfrancisco.
    • INSTANCE_NAME: nama VM.
  6. Pada menu Category, buka Connection > SSH > Auth > Credentials (atau Connection > SSH > Auth di PuTTY versi sebelum 0.78).
  7. Di kolom Private key file for authentication, klik Browse, lalu pilih file kunci SSH pribadi (.ppk) yang sesuai dengan kunci publik yang Anda tambahkan ke VM.
  8. Pada menu Category, buka Connection > Proxy.
  9. Di bagian Proxy type, pilih Local.

  10. Di kolom Telnet command, or local proxy command, masukkan perintah berikut:

    gcloud.cmd compute start-iap-tunnel INSTANCE_NAME PORT_NUMBER --listen-on-stdin --project=PROJECT_ID --zone=ZONE

    Ganti kode berikut:

    • INSTANCE_NAME: nama VM yang ingin Anda hubungkan.
    • PORT_NUMBER: port tempat daemon sshd dijalankan. Nilai default PORT_NUMBER adalah 22.
    • PROJECT_ID: project yang menghosting VM yang ingin Anda hubungkan.
    • ZONE: zona tempat VM berada.
  11. Klik Buka untuk terhubung ke VM.

Pemecahan masalah

Untuk menemukan metode mendiagnosis dan menyelesaikan koneksi SSH yang gagal, lihat Memecahkan Masalah SSH.

Langkah berikutnya